简单校园网蠕虫病毒报警系统的设计与实现

《简单校园网蠕虫病毒报警系统的设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、简单校园网蠕虫病毒报警系统的设计与实现：针对蠕虫病毒会引起X络流量急剧增加这一特征，开发了一个简单的基于流量分析的校园X蠕虫病毒报警系统，介绍了该系统的设计与实现过程。　　关键词：蠕虫病毒；校园X；报警系统　　：TP393：A：1009-3044(2011)10-2258-03　　DesignandImplementationoftheSimpleCampusNetVirusAlarmSystem　　JUShui,QUYan-feng,　　(HenanPolytechnicUniversity,Jiaozuo454000,China)　　Abstrac

2、t:Aimingatthefeaturethatvirusmaycausetherapidincreaseoftheplecampusvirusalarmsystembasedontrafficanalysisisdeveloped.Thedesignandimplementationofthesystemareintroducedinthepaper.　　Keyvirus;campussystem　　目前，多种病毒通过互联X大肆传播，其中蠕虫病毒是目前计算机病毒中危害最大、破坏能力最强的一种病毒。它不仅攻击X络用户，导致本机系统崩溃，更严重的是会产生

3、大量无用报文最终造成X络的拥塞直至瘫痪。红色代码、蠕虫王、冲击波、震荡波、Santy、Zotob、熊猫烧香及各种变种等蠕虫的大规模爆发，不仅造成了难以估计的经济损失，而且对整个互联X的正常运行造成严重威胁[1]。随着蠕虫病毒的日益更新，它已经从被动查找感染目标发展到现在的主动查找感染目标，这种病毒的感染能力极大、感染速度极快，可以在短时间内造成大规模爆发。当蠕虫病毒爆发时，X络一般马上瘫痪；计算机则表现出运算速度极慢、系统资源被耗尽、死机、鼠标移动速度极慢、键盘失灵、莫名其妙的计算机提示等等。　　但是蠕虫病毒有一个重要的缺陷，其爆发带有极显著的特征，即

4、X络流量急剧增加。针对这一点，为了满足校园X管理中的实际需求，开发了一个简单的基于流量分析的校园X蠕虫病毒报警系统。　　1系统功能描述　　1.1用例模型　　系统需要完成的基本功能是从校园X核心交换机上取回日志文件的内容，对其中记录的信息进行分析，统计在某个时间段内各IP地址对应的数据包的数量，当某个IP地址在该时间段内的数据包数量超过给定阈值时，则认为该校园X用户已经感染带有攻击代码的蠕虫病毒。根据这个IP地址找到相应用户，暂时取消该用户访问X络的权限，并用短信通知该用户染毒信息，请用户及时查杀病毒，同时记录下这些相关信息，并以系统消息方式通知X络管理

5、员。　　在系统的分析和设计阶段本文使用UML（UnifiedModelingLanguage，统一建模语言）进行建模[2]。它是对使用面向对象方法开发的产品进行说明、可视化和编制文档的一种标准语言，使开发人员能够专注于建立产品的模型和结构，而不需要过多关心选用什么程序语言和算法实现。当模型和结构建立完成之后，可以用UML工具转化成指定的程序语言代码。常用UML工具有IBM的RationalRose和MS的Visio，本文使用前者。　　UML中一般用视图来划分没有明显界限的各种组件。视图是一个用来表达系统某类特征所需要的UML建模组件的子集。用例视图即是

6、系统功能的模型图，是被称为参与者的外部用户所能直接感知到的。它仅包括一种描述工具——用例图，其中的元素主要是用例和参与者。用例是系统中用来描述每个基本功能的单元，可以理解为系统与参与者之间的一次交互过程。用例图的作用是列出系统中的所有用例和参与者，并显示参与者与用例执行的关系。　　根据系统需求我们抽象出三个用例（如图1所示）：分析日志、短信通知和数据库维护，其中分析日志包含取日志记录用例，短信通知包含获取号码用例，数据库维护包含登录用例。系统需要能按照设定时间自动实行对X络状况的监控，因此定时器成为一个抽象的参与者。　　1.2事件流　　在整个系统中，核

7、心部分是日志记录的获取及分析。因此，本文以下主要对这一部分进行详细介绍。取日志记录的事件流比较简单，这里主要给出分析日志用例中的事件流：从日志文件syslog中逐行读取记录，通过统计和分析，判断是否存在蠕虫病毒感染。如果有，则将相应IP地址等信息作为一条记录写入数据库。在写入前，需要先查询数据库，看是否已经存在该IP地址的记录，如果存在，则仅更新库中记录的统计类字段，否则，把该记录作为一条新记录写入数据库。详细描述事件流如下：　　主事件流：系统提取异常日志记录（时间、IP），写入数据库。　　1)系统定时打开syslog文件，从上次读的偏移量开始读取新的

8、日志。　　2)取有病毒特征的日志行。　　3)提取关键数据（时间、IP），形成异常记录。　　4)